NIS2 für IT-Dienstleister: was ist anders?

Kurz und knapp

IT-Dienstleister können von NIS2 auf zwei Wegen erfasst werden. Direkt: Anbieter von Cloud-Computing-Diensten, Rechenzentrumsdiensten, Content Delivery Networks, DNS-Diensten und Vertrauensdiensten gehören zur digitalen Infrastruktur (Anhang I Nr. 8 NIS2), Managed Service Provider (MSP) und Managed Security Service Provider (MSSP) zur Verwaltung von IKT-Diensten (Anhang I Nr. 9 NIS2); in Deutschland stehen alle in Anlage 1 zum BSIG. Ein MSP ist nach § 28 Abs. 2 BSIG wichtige Einrichtung, wenn er mindestens 50 Personen beschäftigt oder Jahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. € liegen. Indirekt: Kunden, die selbst NIS2-pflichtig sind, müssen die Sicherheit ihrer Lieferkette steuern (§ 30 Abs. 2 Nr. 4 BSIG) und geben entsprechende Anforderungen vertraglich an kleinere Dienstleister weiter. Seit Inkrafttreten des NIS2UmsuCG am 6.12.2025 (BGBl. 2025 I Nr. 301) gelten Registrierungs-, Melde- und Geschäftsleitungspflichten.

NIS2 trifft IT-Dienstleister direkt (Annex I)

Die NIS2-Richtlinie (EU) 2022/2555 unterscheidet in Annex I „hochkritische Sektoren". Darunter explizit:

• Digitale Infrastruktur (Anhang I Nr. 8), unter anderem:
  • Anbieter von Cloud-Computing-Diensten
  • Anbieter von Rechenzentrumsdiensten
  • Betreiber von Content Delivery Networks
  • DNS-Diensteanbieter und Top-Level-Domain-Name-Registries
  • Vertrauensdiensteanbieter (eIDAS)
• Verwaltung von IKT-Diensten (B2B) (Anhang I Nr. 9):
  • Managed Service Provider (MSP)
  • Managed Security Service Provider (MSSP)

In Annex II („andere kritische Sektoren") stehen ergänzend:

• Anbieter digitaler Dienste: Online-Marktplätze, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke (Anhang II Nr. 6 NIS2, Anlage 2 zum BSIG)

Die Schwellen ergeben sich in Deutschland aus § 28 BSIG: Besonders wichtige Einrichtung ist, wer mindestens 250 Personen beschäftigt oder einen Jahresumsatz von über 50 Mio. € und eine Jahresbilanzsumme von über 43 Mio. € hat; wichtige Einrichtung, wer mindestens 50 Personen beschäftigt oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. € hat. Größenunabhängig erfasst sind qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Name-Registries und DNS-Diensteanbieter (besonders wichtig, § 28 Abs. 1 BSIG) sowie sonstige Vertrauensdiensteanbieter (wichtig, § 28 Abs. 2 BSIG).

Welche IT-Services genau betroffen sind

Nicht jeder IT-Dienstleister ist automatisch in Annex I. Die Abgrenzung erfolgt nach Service-Art:

Typischerweise einschlägig, soweit der Dienst als Cloud-Computing-, Rechenzentrums-, CDN- oder DNS-Dienst oder als MSP/MSSP einzuordnen ist:

• Managed Operations (Betrieb von Kunden-Infrastruktur, 24/7-Monitoring, Patch-Management)
• SOC- und SIEM-Services
• Cloud-Hosting (IaaS / PaaS, auch private Cloud-Build-Outs für einen einzelnen Großkunden)
• Rechenzentrum-Colocation
• CDN- und DNS-Services
• Identity-Provider und SSO-Dienste (keine eigene Kategorie; Einordnung je nach Betriebsmodell als Cloud-Computing-Dienst oder verwalteter Dienst)
• Backup-as-a-Service / Disaster-Recovery
• Software-as-a-Service für kritische Geschäftsprozesse (Buchhaltung, ERP, Personal)

Grenzfälle:

• Reine Lizenz-Reseller ohne eigene Betriebs-Verantwortung
• Schulungs-Anbieter ohne Tool-Betrieb
• Beratungs-Dienstleister, die kein Kunden-System betreiben (typisch projekt-basiert, kein „ongoing service")

Wahrscheinlich out-of-scope:

• Einzelpersonen-Freelance-Entwicklung ohne Hosting-Komponente
• Reine Code-Repository-Dienstleister ohne Betriebsverantwortung, sofern unterhalb Schwellen

In den Grenzfällen entscheidet die tatsächlich erbrachte Leistung, nicht die Vertragsbeschriftung. Anhaltspunkte liefern SLAs, die Verantwortlichkeit im Störungsfall und die Frage, ob der Dienstleister Systeme des Kunden laufend betreibt oder überwacht.

Der Lieferketten-Multiplikator-Effekt

Selbst wer formal unterhalb der NIS2-Schwellen liegt, kann durch Kunden in den Anwendungsbereich gezogen werden. Art. 21 Abs. 2 lit. d) NIS2 verpflichtet jede betroffene Einrichtung, „Sicherheit in der Lieferkette" zu organisieren, inklusive Vertragsklauseln, Audit-Rechten und Mindeststandards bei Lieferanten.

Praktisch heißt das:

1. Eine NIS2-betroffene Bank bestellt Cloud-Hosting bei einem MSP.
2. Der MSP wird im Vertrag verpflichtet, NIS2-konforme Mindestmaßnahmen umzusetzen, auch wenn er selbst keine NIS2-Einrichtung ist.
3. Der MSP muss daher dasselbe Niveau an Risiko-Management, Incident-Reporting und Lieferanten-Steuerung zeigen, vertraglich gebunden statt gesetzlich gebunden, aber faktisch identisch.

Ein vergleichbarer Mechanismus besteht im Finanzsektor unter DORA, das Finanzunternehmen Vorgaben für Verträge mit IKT-Drittdienstleistern macht (Art. 28 ff. DORA). Bei NIS2 ist die Weitergabe nicht als Vertragspflicht ausformuliert, ergibt sich aber aus der Pflicht der Kunden zur Steuerung der Lieferkettensicherheit.

Spezifische Pflichten für IT-Dienstleister

Die zehn Maßnahmenbereiche nach § 30 Abs. 2 BSIG (Art. 21 Abs. 2 NIS2) gelten für alle Einrichtungen. Für bestimmte IT-Einrichtungsarten kommen jedoch Sonderregeln hinzu:

• Detailanforderungen per EU-Durchführungsrechtsakt. Für DNS-Diensteanbieter, TLD-Registries, Cloud-Computing-Dienstleister, Rechenzentrumsdienste, CDN-Betreiber, MSP, MSSP, Online-Marktplätze, Online-Suchmaschinen, Plattformen sozialer Netzwerke und Vertrauensdiensteanbieter hat der Durchführungsrechtsakt der Kommission nach Art. 21 Abs. 5 UAbs. 1 NIS2 Vorrang (§ 30 Abs. 3 BSIG). Das ist die Durchführungsverordnung (EU) 2024/2690, die technische und methodische Anforderungen für diese Einrichtungsarten festlegt.
• Besondere Registrierungspflicht. Die in § 60 Abs. 1 BSIG genannten Einrichtungsarten (u. a. DNS, TLD, Cloud, Rechenzentren, CDN, MSP, MSSP, Online-Marktplätze, Suchmaschinen, soziale Netzwerke) müssen dem BSI nach § 34 BSIG zusätzliche Angaben übermitteln, darunter die Anschrift der Hauptniederlassung in der EU, die Mitgliedstaaten, in denen sie Dienste erbringen, und ihre öffentlichen IP-Adressbereiche. Zuständig ist das BSI für sie nur, wenn die Hauptniederlassung in der EU in Deutschland liegt, dann aber EU-weit (§ 60 BSIG).

Darüber hinaus sind für IT-Dienstleister folgende Punkte besonders relevant:

1. Melde- und Unterrichtungspflichten. Erhebliche Sicherheitsvorfälle sind nach § 32 BSIG (Art. 23 NIS2) binnen 24 Stunden nach Kenntnis als Frühwarnung, binnen 72 Stunden als Meldung und spätestens einen Monat danach mit Abschlussmeldung an das BSI zu melden. Das BSI kann anordnen, dass die Einrichtung die Empfänger ihrer Dienste unverzüglich über einen erheblichen Sicherheitsvorfall unterrichtet (§ 35 Abs. 1 BSIG). Einrichtungen der Branchen digitale Infrastruktur, Verwaltung von IKT-Diensten und digitale Dienste müssen darüber hinaus Dienstempfängern, die potenziell von einer erheblichen Cyberbedrohung betroffen sind, von sich aus mögliche Abhilfemaßnahmen mitteilen (§ 35 Abs. 2 BSIG).

2. Schwachstellen-Disclosure. Art. 12 NIS2 verpflichtet die Mitgliedstaaten, ein CSIRT als Koordinator für die koordinierte Offenlegung von Schwachstellen zu benennen; eine Offenlegungspflicht für IT-Dienstleister folgt daraus nicht. Wer selbst Produkte mit digitalen Elementen herstellt, etwa Software, unterliegt zusätzlich dem Cyber Resilience Act: Dessen Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle (Art. 14 CRA) gelten seit dem 11. September 2026, die übrigen Herstellerpflichten ab dem 11. Dezember 2027 (Art. 71 CRA).

3. Pflichten der Geschäftsleitung. Nach § 38 BSIG (Art. 20 NIS2) muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen sowie regelmäßig an Schulungen teilnehmen. Verletzt sie diese Pflichten, haftet sie der Einrichtung für schuldhaft verursachte Schäden nach den Regeln ihrer Rechtsform (§ 38 Abs. 2 BSIG). Die Bußgelder nach § 65 BSIG treffen dagegen die Einrichtung: bis 10 Mio. € (besonders wichtige Einrichtung) bzw. 7 Mio. € (wichtige Einrichtung), bei einem Gesamtumsatz über 500 Mio. € bis 2 % bzw. 1,4 % des Umsatzes.

4. Audit-Bereitschaft. Die Aufsichtsbehörden (in Deutschland: BSI und sektor-spezifische Stellen) können bei wesentlichen Einrichtungen anlasslose Vor-Ort-Prüfungen anordnen. IT-Dienstleister müssen technische Maßnahmen und organisatorische Dokumentation jederzeit prüffähig vorhalten.

5. Kryptografie. Art. 21 Abs. 2 lit. h NIS2 (§ 30 Abs. 2 Nr. 8 BSIG) verlangt Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung. Konkrete Algorithmen, Protokollversionen oder Schlüssellängen schreibt das Gesetz nicht vor; maßgeblich ist der Stand der Technik, der im Konzept zu dokumentieren ist.

Praxis-Empfehlungen

Empfehlung 1, Eigene Betroffenheit klären. Erst die NIS2-Schwellen prüfen (Mitarbeitende + Umsatz), dann den Service-Katalog gegen Annex I/II abgleichen, dann Großkunden-Verträge auf Lieferanten-Klauseln durchsuchen. Drei separate Schritte, kein Komplett-Bauchgefühl.

Empfehlung 2, Kunden-Vertragsmuster überarbeiten. NIS2-Lieferanten-Klauseln werden Standard. Wer als IT-Dienstleister proaktiv ein NIS2-konformes Annex zu bestehenden Verträgen anbietet, hebt sich von der Konkurrenz ab und verhindert ad-hoc-Nachverhandlungen.

Empfehlung 3, Incident-Response-Drehbuch validieren. Die Frühwarnung ist binnen 24 Stunden nach Kenntnis fällig (§ 32 BSIG); sie muss noch nicht vollständig sein, die ausführliche Meldung folgt binnen 72 Stunden. Tabletop-Übungen gemeinsam mit Kunden klären zugleich, wer wen im Vorfall informiert.

Empfehlung 4, ISO 27001-Roadmap als Basis nutzen. Ein ISMS nach ISO 27001 deckt viele der NIS2-Risikomanagementmaßnahmen ab; einen allgemein gültigen Deckungsgrad gibt es nicht, er ist per Gap-Analyse gegen § 30 Abs. 2 BSIG zu ermitteln. Was fehlt: NIS2-spezifische Lieferanten-Steuerung, Vorstandshaftung-Nachweise und die Meldepflicht-Prozesse.

Empfehlung 5, DACH-Aufsicht aufmerksam beobachten. BSI veröffentlicht laufend NIS2-Konkretisierungen. Wer als IT-Dienstleister NIS2 monetarisieren will (Beratung, Audit, MSSP), muss näher am BSI sein als die eigenen Kunden.

FAQ

Wir sind ein 12-Personen-MSP, fallen wir unter NIS2? Direkt über die Größenschwellen: in der Regel nein, sofern Jahresumsatz und Jahresbilanzsumme nicht beide über 10 Mio. € liegen (§ 28 Abs. 2 BSIG). Indirekt durch NIS2-Kunden: oft ja, sobald ein Kunde aus den hochkritischen Sektoren euch verpflichtet. Klärung über Kunden-Vertragsanalyse, nicht über Mitarbeiterzahl.

Reicht eine ISO-27001-Zertifizierung als NIS2-Nachweis? Nicht vollständig. ISO 27001 deckt das Mindestmaßnahmen-Set technisch gut ab, aber die NIS2-spezifischen Meldepflichten, Vorstandshaftung und Lieferanten-Audit-Prozesse müssen ergänzt werden. ISO ist Basis, nicht Endpunkt.

Was passiert, wenn ein Kunde uns ohne NIS2-Klausel beauftragt und wir betroffen werden? Die gesetzliche NIS2-Pflicht gilt unabhängig vom Vertrag, sobald ihr in Annex I/II fallt und die Schwellen erreicht. Der Vertrag ändert nichts an der gesetzlichen Verantwortung, nur an der zivilrechtlichen Haftung gegenüber dem Kunden.

Wie schnell muss die 24h-Frühwarnung erfolgen? Ab Kenntnis eines „erheblichen Sicherheitsvorfalls", nicht ab Verifikation. Das setzt eine Definition voraus, was bei euch „erheblich" auslöst. Erheblich ist ein Vorfall nach Art. 23 Abs. 3 NIS2, wenn er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung selbst verursacht hat oder verursachen kann, oder wenn er andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.

Welche Strafe droht bei Verstoß? Nach § 65 BSIG bis 10 Mio. € für besonders wichtige und bis 7 Mio. € für wichtige Einrichtungen; die umsatzbezogenen Obergrenzen von 2 % bzw. 1,4 % des Gesamtumsatzes greifen nur bei einem Gesamtumsatz über 500 Mio. €. Kommt eine besonders wichtige Einrichtung Anordnungen trotz Fristsetzung nicht nach, kann als letztes Mittel die Ausübung der Tätigkeit durch unzuverlässige Geschäftsleitungen vorübergehend untersagt werden (§ 61 Abs. 9 BSIG).

Wann tritt das deutsche NIS2-Gesetz endgültig in Kraft? Stand: 18.09.2026: Das NIS2UmsuCG ist seit 6. Dezember 2025 in Kraft (BGBl. 2025 I Nr. 301). Registrierungs- und Meldepflichten gelten, IT-Dienstleister mit Sektor-Zuordnung sollten ihren Selbstidentifikations-Status überprüfen.

Was unterscheidet einen NIS2-MSP-Vertrag von einem normalen MSA? Mindestens: Auditrecht für den Kunden, Mindestmaßnahmen-Klausel mit Bezug auf Art. 21 Abs. 2 NIS2, Meldepflicht-Zeitfenster (24 / 72 h) als vertragliche Verpflichtung, Lieferketten-Disclosure beim MSP, Sub-Prozessor-Anzeigepflicht.

Diese Einordnung beruht auf den oben genannten Quellen mit Stand: 18.09.2026. Eine konkrete Einzelfallprüfung ersetzt sie nicht.